Mengonfigurasi pengelolaan siklus proses untuk workload terkelola

Produk atau fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum di Persyaratan Khusus Layanan. Produk dan fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

Dokumen ini menunjukkan cara mengonfigurasi pengelolaan siklus proses sertifikat untuk workload terkelola seperti Compute Engine dan Google Kubernetes Engine (GKE), menggunakan Certificate Manager (generasi ke-2). Anda dapat mengotomatiskan penerbitan dan perpanjangan sertifikat dengan menautkan workload identity pool terkelola ke kumpulan Layanan Otoritas Sertifikat menggunakan konfigurasi penerbitan sertifikat. Hal ini membantu mencegah gangguan layanan yang disebabkan oleh sertifikat yang telah habis masa berlakunya.

Sebelum memulai

Login keakun Anda. Google Cloud Jika Anda baru menggunakan Google Cloud, buat akun untuk mengevaluasi performa produk kami dalam skenario dunia nyata. Pelanggan baru juga mendapatkan kredit gratis senilai $300 untuk menjalankan, menguji, dan men-deploy workload.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager, Certificate Authority Service APIs.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the APIs

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

Verify that billing is enabled for your Google Cloud project.

Enable the Compute Engine, Certificate Manager, Certificate Authority Service APIs.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the APIs

Peran yang diperlukan

Untuk mendapatkan izin yang Anda perlukan untuk mengonfigurasi pengelolaan siklus proses, minta administrator Anda untuk memberi Anda peran IAM berikut di project Anda:

• Editor Certificate Manager (roles/certificatemanager.editor)
• Pengelola Sertifikat Layanan CA (roles/privateca.certificateManager)
• Admin Workload Identity Pool (roles/iam.workloadIdentityPoolAdmin)

Untuk mengetahui informasi selengkapnya tentang pemberian peran, lihat Mengelola akses ke project, folder, dan organisasi.

Anda mungkin juga bisa mendapatkan izin yang diperlukan melalui peran khusus atau peran bawaan lainnya.

Mengonfigurasi siklus proses untuk workload terkelola

Konfigurasi workload identity pool terkelola untuk menentukan cara workload terkait menerima dan memperpanjang sertifikat dari kumpulan Layanan CA yang ada.

1. Di Google Cloud konsol, buka halaman Certificate Manager (generasi ke-2).

   Buka Certificate Manager (generasi ke-2)

2. Di panel navigasi, klik Manage Lifecycle.
3. Pilih tab Managed Workload Identity.
4. Temukan workload identity pool yang ingin Anda konfigurasi, lalu klik Configure lifecycle management.
5. Pilih Region dan CA pool untuk region tersebut.
6. Di kolom Certificate lifetime, tentukan validitas sertifikat yang diterbitkan. Nilai harus antara 21 dan 30 hari.
7. Tetapkan Rotation window ke nilai antara 50 dan 80. Ini adalah persentase masa berlaku sertifikat yang memicu perpanjangan.
8. Di kolom Key algorithm, pilih algoritma enkripsi yang akan digunakan untuk membuat kunci pribadi.
9. Klik Update.

Langkah berikutnya

• Melihat inventaris sertifikat
• Membuat konfigurasi penerbitan
• Memantau sertifikat Anda
• Mengonfigurasi pengelolaan siklus proses untuk load balancer
• Membuat konfigurasi kepercayaan